Mann könnte versuchen, über einen Link mit einem neuen (ungültigen) User/Passwort-Paar das gültige Paar zu überschreiben. Ob das bei den heutigen Browsern noch funktioniert, weiß ich nicht; habe es lange nicht mehr benutzt/gebraucht.



Die Kombination "user:pass" darf natürlich nicht gültig sein, sonst klappt das nicht.

Klickt der Benutzer diesen Link an, sollte der Browser das User/Passwort für $server übernehmen und verwenden. Das alte (gültige) Paar sollte er damit vergessen haben.
Weitere Zugriff dürften dann mit einem Fehler quittiert werden.

soweit die Theorie ... ;-)